zoznam otázok sa pýta na našu politiku hesiel, musí byť to čítané a písomne zaznamenané

Heslo politika patrí do politiky prístupu, nie oddelene vedľa nej

Áno, písomne stanovená heslo politika je norma, ktorú dotazník očakáva — ale samotná otázka má väčšinou širší zápis ako len heslá. Článok 21 odsek 2 NIS2 neuvádza samostatnú "heslo politiku" ako samostatné opatrenie; heslá patria pod bod (i), politika kontroly prístupu, a pod bod (j), používanie viacfaktorovej autentifikácie. Ak dotazník konkrétne pýta na heslo politiku, zvyčajne sa testuje, či je to súčasť širšieho politika prístupu písomne je stanovená: kto dostane aké práva, ako je heslo skonštruované, ako často sa mení, čo sa stane pri ukončení pracovného pomeru.

Ak nemáš samostatný dokument, potom ide o to, či politika neexistuje niekde inde — napríklad v širšej politike bezpečnosti informácií alebo v nastaveniach tvojho systému identity a správy prístupu. ISO 27001 Príloha A pracuje s rovnakou logikou: neexistuje samostatná kontrola pre heslá, ale kontrola A.5.17 (autentifikačné informácie) spadá pod tému správy prístupu. Ak nemáš certifikát ISO a nemáš samostatný dokument, potom je "nie" v tomto okamihu správna odpoveď na samostatnú otázku hesla — prípadne s vysvetlením, že viacfaktorová autentifikácia je naozaj nastavená, čo sa často počíta viac ako samotná heslo politika. Posledné jedno je samostatná otázka v mnohých zoznamoch, pozri otázku o viacfaktorovej autentifikácii.

Kde to vyplýva: článok 21 odsek 2 písm. i a j

Článok 21 odsek 2 Smernice (EÚ) 2022/2555 neuvádza pod písm. i) "politiku a postupy týkajúce sa používania kryptografie a, ak je to relevantné, šifrovania" nie ako zdroj hesiel — tie spadajú pod "politiku kontroly prístupu" (pod i v obvyklom preklade desiatich opatrení) a pod viacfaktorovú autentifikáciu (pod j). Zákon o kybernetickej bezpečnosti prevezme toto rozdelenie, keď vstúpi v platnosť 15. augusta 2026. ISO/IEC 27001 Príloha A tiež umiestňuje správu hesiel pod širšiu tému správy prístupu, nie ako samostatnú kontrolu.